尽管有“UseCookies”设置，ASP.NET 仍将会话状态注入 URL

Question

在我的 ASP.NET MVC3 应用程序中，我有以下路由定义：

routes.MapRoute( "Sso", "MyController/Sso",
    new { controller = "MyController", action="Sso" } );
routes.MapRoute( "Settings", "MyController/Settings/{objectId}",
    new { controller = "MyController", action="Settings", objectId = @"" } );

在MyController 里面我有这个：

[My]
public ActionResult Sso( list of parameters )
{
    //blah - nothing that would yield a redirect, then
    FormsAuthentication.SetAuthCookie("MagicSso." + someGuid, false);
    return RedirectToAction("Settings", new { objectId = someGuid } );
}

而MyAttribute 类继承自System.Web.Mvc.ActionFilterAttribute 并覆盖OnResultExecuted()，后者记录ResultExecutedContext.HttpContext.Response.RedirectLocation 的值。

在测试中它工作得很好，当OnResultExecuted() 运行它时，它会完全按照预期将/MyAccount/Settings/some-guid-as-expected-here 记录为重定向目标。另请注意，objectId 已正确映射，因此可以清楚地匹配正确的路线。

但是在生产中会发生以下情况。一个请求到达https://my.domain.name/MyController/Sso，当OnResultExecuted() 运行时，它会将/some-very-long-string-290-characters-long-here/MyAccount/Settings/some-guid-as-expected-here 之类的内容记录为重定向目标。看起来这就是用户接收并尝试遵循的内容 - 我在 HTTPERR 日志中看到来自外部世界的对该 URL 的请求，并且失败并显示代码 400（错误请求）。

我不想在这里发布随机字符串，因为我不确定它是否会泄露任何敏感数据。它每次都包含相同数量的字符，始终以(F( 开头并始终以)) 结尾，所有其他字符都是大写和小写拉丁字符和数字，中间用破折号和下划线分隔，没有任何明显的规则。除此之外，它看起来完全随机。

经过大量搜索，我很确定看起来怪异的字符串是以“无cookie”方式发送给客户端的ASP.NET 会话状态。所以我在我的应用程序中检查了System.Web.HttpSessionStateBase.CookieMode 返回UseCookies 和System.Web.HttpSessionStateBase.IsCookieless 返回false 并且(System.Web.Configuration.SessionStateSection)System.Web.Configuration.WebConfigurationManager.GetSection("system.web/sessionState").Cookieless 返回UseCookies。所以我或多或少地确定 ASP.NET 被配置为将会话状态作为 cookie 返回，无论客户端喜欢什么。

为什么RedirectToAction() 会突然向重定向目标注入一些类似于编码会话状态的随机字符串？

Answer 1

原来有两个完全独立的设置——一个来自system.web/sessionState，另一个来自system.web/authentication/forms/cookieless，它们是have different values by default。后者默认有UseDeviceProfile，因此它有时会将表单身份验证令牌注入到 URL 中。

在我们的例子中，这种配置毫无意义 - 如果用户没有 cookie 支持，他将无法使用我们的网站，因为它严重依赖 cookie，因此我们只需将 system.web/authentication/forms/cookieless 更改为 UseCookies。